CVE-2026-61515: Kritisk fejl i Puwell IP-kameraer
Puwell IP-kameraer kan overtages uden login via en sårbar tjeneste på port 34567. Isolér kameraerne fra internettet nu.
Hvad er det?
CVE-2026-61515 er en sårbarhed i firmware til Puwell IP-kameraer, version 2.x til 4.x. Kameraerne har en indbygget tjeneste kaldet DebugShell, som lytter på TCP-port 34567 og er beregnet til fejlfinding fra producentens side. Tjenesten kræver ingen godkendelse og tjekker ikke, om de kommandoer, den modtager, er lovlige. En angriber kan sende en manipuleret JSON-besked, altså en tekstbaseret dataformat, til porten og få kameraet til at afvikle vilkårlige kommandoer på styresystemet med fulde rettigheder. Det betyder, at angriberen i praksis overtager hele enheden uden at kende brugernavn eller adgangskode.
Hvem rammer det?
Alle organisationer, der har Puwell IP-kameraer med firmware version 2.x til 4.x i drift, er berørt. Det gælder både kameraer, der er sat direkte på internettet med en offentlig IP-adresse, og kameraer, der ligger på et internt netværk, hvor porten alligevel er tilgængelig, for eksempel via forkert konfigureret router eller videresendte porte. Puwell sælger ofte kameraer under andre mærkenavne, så mange virksomheder ved ikke, at deres overvågningsudstyr bruger denne firmware.
Hvad kan ske?
En angriber, der udnytter sårbarheden, får fuld kontrol over kameraet med de højeste rettigheder på enheden. Det kan bruges til at overvåge lokaler, slette eller manipulere optagelser, og til at bruge kameraet som springbræt videre ind i virksomhedens netværk. Kompromitterede kameraer indgår også ofte i botnet, hvor de bruges til at angribe andre systemer, uden at ejeren opdager det.
Hvor alvorligt er det?
Sårbarheden har en CVSS-score på 9,8 ud af 10, hvilket er kritisk. Den kan udnyttes over netværket, kræver ingen adgangskode eller login, og kræver ingen handling fra en bruger. Kompleksiteten i angrebet er lav, hvilket betyder, at det er relativt enkelt at udføre for en angriber med kendskab til protokollen. Der er ikke oplysninger om, at sårbarheden aktivt bliver udnyttet, men den detaljerede beskrivelse af angrebsvejen gør det sandsynligt, at et angrebsværktøj kan udvikles hurtigt.
Hvad gør jeg nu?
Der findes ikke en offentliggjort opdatering fra Puwell på nuværende viden, så det vigtigste er at fjerne adgangen til den sårbare tjeneste.
- Bloker TCP-port 34567 for adgang udefra og internt mellem netværkssegmenter, hvor det ikke er nødvendigt.
- Kortlæg, hvilke kameraer i jeres organisation der bruger Puwell-firmware, herunder kameraer solgt under andre mærkenavne.
- Isolér de berørte kameraer på et separat VLAN uden adgang til resten af netværket.
- Kontakt leverandøren eller forhandleren af kameraerne for at høre, om der er planlagt en firmwareopdatering.
- Overvej at udskifte kameraer, hvis leverandøren ikke kan levere en løsning inden for rimelig tid.
- Få ekstern hjælp, hvis I ikke selv kan identificere eller isolere de berørte enheder i jeres netværk.
Isolér kameraerne fra netværket i dag
Vi anbefaler, at I straks blokerer adgang til port 34567 og kortlægger jeres IP-kameraer, uanset mærke, da mange sælges under andre navne end Puwell. Det er ikke forsvarligt at vente til en fast opdateringscyklus, fordi der ikke findes en officiel opdatering, og angrebet kræver hverken login eller brugerhandling. I kan vente med udskiftning af kameraer, hvis I i mellemtiden har isoleret dem fuldstændigt fra internettet og det interne netværk.
Tidslinje
Konkrete eksempler
Overvågningskamera i reception bliver indgang til netværket
En dansk virksomhed har opsat et Puwell-baseret IP-kamera ved receptionen, tilgængeligt via en videresendt port fra internettet for fjernvisning. En angriber scanner efter åbne enheder på port 34567, finder kameraet og sender en manipuleret kommando, som giver fuld kontrol over enheden. Herfra bruger angriberen kameraet som springbræt til at undersøge og angribe virksomhedens interne netværk.
Ofte stillede spørgsmål
Hvordan finder vi ud af, om vi har berørte kameraer?
Se på fabrikatsmærkat eller administrationswebsiden for kameraet, og undersøg firmwareversionen. Mange kameraer, der sælges under andre mærkenavne, bruger internt Puwell-firmware. Kontakt leverandøren, hvis I er i tvivl, eller undersøg om enheden svarer på forespørgsler på TCP-port 34567.
Kan vi vente til en planlagt vedligeholdelsesweekend?
Nej. Da sårbarheden kan udnyttes uden login over netværket, bør I blokere port 34567 og isolere de berørte kameraer så hurtigt som muligt, uafhængigt af planlagte vedligeholdelsesvinduer.
Er vores kameraer ramt, hvis de kun bruges internt?
Ja, hvis porten 34567 er tilgængelig fra andre dele af netværket eller fra internettet via videresendte porte. Interne kameraer er lige så sårbare, hvis en angriber først har fået fodfæste et andet sted i netværket.
Skal vi anmelde hændelsen til myndighederne?
Hvis I opdager tegn på faktisk misbrug, som uautoriseret adgang til optagelser eller mistænkelig netværkstrafik fra kameraerne, bør I vurdere anmeldelse til Datatilsynet, hvis persondata er berørt, og eventuelt politianmeldelse.
Hjælper det at skifte adgangskode på kameraet?
Nej. Sårbarheden ligger i en tjeneste, der slet ikke kræver adgangskode. Den eneste effektive beskyttelse, indtil en opdatering findes, er at blokere adgangen til porten og isolere enheden netværksmæssigt.
CVSS-detaljer
CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H
CWE-svaghedstyper
Original NVD-beskrivelse (engelsk)
Puwell IP Camera firmware versions 2.x through 4.x contains an unauthenticated command injection vulnerability that allows remote attackers to execute arbitrary operating system commands by sending a crafted JSON payload to the DebugShell interface exposed on TCP port 34567. Attackers can exploit the lack of authentication and input sanitization in the binary protocol service to pass arbitrary commands directly to the underlying operating system, achieving root-level code execution and complete device compromise.
Referencer & kilder
Eksterne kilder
Brug for hjælp med jeres sikkerhed?
Vi hjælper SMV’er med at omsætte trusler som denne til konkrete handlingsplaner.